ख़तरे का शिकार, या 5% ख़तरों से ख़ुद को कैसे बचाएं

95% सूचना सुरक्षा खतरे ज्ञात हैं, और आप एंटीवायरस, फ़ायरवॉल, आईडीएस, डब्ल्यूएएफ जैसे पारंपरिक साधनों का उपयोग करके उनसे अपनी रक्षा कर सकते हैं। शेष 5% खतरे अज्ञात और सबसे खतरनाक हैं। वे किसी कंपनी के लिए 70% जोखिम का कारण बनते हैं क्योंकि उनका पता लगाना बहुत मुश्किल है, उनसे बचाव करना तो दूर की बात है। उदाहरण "काले हंस" WannaCry रैंसमवेयर महामारी, NotPetya/ExPetr, क्रिप्टोमाइनर, "साइबर हथियार" स्टक्सनेट (जिसने ईरान की परमाणु सुविधाओं को प्रभावित किया) और कई (किसी और को किडो/कॉन्फ़िकर याद है?) अन्य हमले हैं जो शास्त्रीय सुरक्षा उपायों के साथ बहुत अच्छी तरह से बचाव नहीं कर सकते हैं। हम इस बारे में बात करना चाहते हैं कि थ्रेट हंटिंग तकनीक का उपयोग करके इन 5% खतरों का मुकाबला कैसे किया जाए।

साइबर हमलों के निरंतर विकास के लिए निरंतर पता लगाने और जवाबी उपायों की आवश्यकता होती है, जो अंततः हमें हमलावरों और रक्षकों के बीच हथियारों की अंतहीन दौड़ के बारे में सोचने पर मजबूर करता है। क्लासिक सुरक्षा प्रणालियाँ अब सुरक्षा का स्वीकार्य स्तर प्रदान करने में सक्षम नहीं हैं, जिस पर जोखिम का स्तर कंपनी के प्रमुख संकेतकों (आर्थिक, राजनीतिक, प्रतिष्ठा) को एक विशिष्ट बुनियादी ढांचे के लिए संशोधित किए बिना प्रभावित नहीं करता है, लेकिन सामान्य तौर पर वे कुछ को कवर करते हैं जोखिम। पहले से ही कार्यान्वयन और कॉन्फ़िगरेशन की प्रक्रिया में, आधुनिक सुरक्षा प्रणालियाँ खुद को पकड़ने की भूमिका में पाती हैं और उन्हें नए समय की चुनौतियों का जवाब देना चाहिए।

स्रोत

सूचना सुरक्षा विशेषज्ञ के लिए थ्रेट हंटिंग तकनीक हमारे समय की चुनौतियों का एक उत्तर हो सकती है। थ्रेट हंटिंग (इसके बाद टीएच के रूप में संदर्भित) शब्द कई साल पहले सामने आया था। तकनीक अपने आप में काफी दिलचस्प है, लेकिन इसमें अभी तक कोई आम तौर पर स्वीकृत मानक और नियम नहीं हैं। सूचना स्रोतों की विविधता और इस विषय पर जानकारी के रूसी-भाषा स्रोतों की कम संख्या से भी मामला जटिल है। इस संबंध में, हमने LANIT-इंटीग्रेशन में इस तकनीक की समीक्षा लिखने का निर्णय लिया।

असली

टीएच तकनीक बुनियादी ढांचे की निगरानी प्रक्रियाओं पर निर्भर करती है। आंतरिक निगरानी के लिए दो मुख्य परिदृश्य हैं - चेतावनी और शिकार. अलर्ट करना (एमएसएसपी सेवाओं के समान) पहले से विकसित हस्ताक्षरों और हमलों के संकेतों को खोजने और उनका जवाब देने का एक पारंपरिक तरीका है। यह परिदृश्य पारंपरिक हस्ताक्षर-आधारित सुरक्षा उपकरणों द्वारा सफलतापूर्वक निष्पादित किया जाता है। हंटिंग (एमडीआर प्रकार की सेवा) एक निगरानी विधि है जो इस सवाल का जवाब देती है कि "हस्ताक्षर और नियम कहां से आते हैं?" यह किसी हमले के छिपे या पहले से अज्ञात संकेतकों और संकेतों का विश्लेषण करके सहसंबंध नियम बनाने की प्रक्रिया है। थ्रेट हंटिंग से तात्पर्य इस प्रकार की निगरानी से है।

दोनों प्रकार की निगरानी के संयोजन से ही हमें आदर्श के करीब सुरक्षा मिलती है, लेकिन हमेशा एक निश्चित स्तर का अवशिष्ट जोखिम होता है।

दो प्रकार की निगरानी का उपयोग करके सुरक्षा

और यही कारण है कि TH (और इसकी संपूर्णता में शिकार!) तेजी से प्रासंगिक हो जाएगा:

धमकियाँ, उपाय, जोखिम। स्रोत

सभी खतरों में से 95% का पहले से ही अच्छी तरह से अध्ययन किया जा चुका है. इनमें स्पैम, DDoS, वायरस, रूटकिट और अन्य क्लासिक मैलवेयर जैसे प्रकार शामिल हैं। आप उन्हीं क्लासिक सुरक्षा उपायों का उपयोग करके इन खतरों से अपनी रक्षा कर सकते हैं।

किसी भी परियोजना के कार्यान्वयन के दौरान 20% काम को पूरा होने में 80% समय लगता है, और शेष 20% कार्य में 80% समय लगता है। इसी तरह, पूरे खतरे के परिदृश्य में, 5% नए खतरे किसी कंपनी के लिए 70% जोखिम के लिए जिम्मेदार होंगे। ऐसी कंपनी में जहां सूचना सुरक्षा प्रबंधन प्रक्रियाएं आयोजित की जाती हैं, हम एक या दूसरे तरीके से ज्ञात खतरों के कार्यान्वयन के 30% जोखिम का प्रबंधन कर सकते हैं (सैद्धांतिक रूप से वायरलेस नेटवर्क से इनकार), स्वीकार करना (आवश्यक सुरक्षा उपायों को लागू करना) या स्थानांतरण (उदाहरण के लिए, एक इंटीग्रेटर के कंधों पर) यह जोखिम। से अपनी रक्षा करें शून्य-दिन भेद्यता, एपीटी हमले, फ़िशिंग, आपूर्ति श्रृंखला पर हमले, साइबर जासूसी और राष्ट्रीय ऑपरेशन, साथ ही बड़ी संख्या में अन्य हमले पहले से ही बहुत अधिक कठिन हैं। इन 5% खतरों के परिणाम कहीं अधिक गंभीर होंगे (बुहट्रैप समूह से बैंक घाटे की औसत राशि 143 मिलियन है) स्पैम या वायरस के परिणामों से, जिनसे एंटीवायरस सॉफ़्टवेयर बचाता है।

लगभग हर किसी को 5% खतरों से निपटना पड़ता है। हमें हाल ही में एक ओपन-सोर्स समाधान स्थापित करना पड़ा जो PEAR (PHP एक्सटेंशन और एप्लिकेशन रिपॉजिटरी) रिपॉजिटरी से एक एप्लिकेशन का उपयोग करता है। पियर इंस्टाल के माध्यम से इस एप्लिकेशन को इंस्टॉल करने का प्रयास विफल हो गया क्योंकि वेबसाइट अनुपलब्ध था (अब इस पर एक स्टब है), मुझे इसे GitHub से इंस्टॉल करना पड़ा। और अभी हाल ही में यह पता चला कि PEAR इसका शिकार बन गया आपूर्ति श्रृंखला पर हमले.

आप अभी भी याद कर सकते हैं CCleaner का उपयोग करके हमला करें, टैक्स रिपोर्टिंग प्रोग्राम के लिए एक अद्यतन मॉड्यूल के माध्यम से नेपेट्या रैंसमवेयर की एक महामारी मैडॉक. खतरे अधिक से अधिक परिष्कृत होते जा रहे हैं, और तार्किक प्रश्न उठता है - "हम इन 5% खतरों का मुकाबला कैसे कर सकते हैं?"

ख़तरे के शिकार की परिभाषा

तो, थ्रेट हंटिंग सक्रिय और पुनरावृत्त खोज और उन्नत खतरों का पता लगाने की प्रक्रिया है जिसे पारंपरिक सुरक्षा उपकरणों द्वारा पता नहीं लगाया जा सकता है। उन्नत खतरों में शामिल हैं, उदाहरण के लिए, एपीटी जैसे हमले, 0-दिन की कमजोरियों पर हमले, भूमि से दूर रहना, इत्यादि।

हम यह भी कह सकते हैं कि TH परिकल्पनाओं के परीक्षण की प्रक्रिया है। यह मुख्य रूप से स्वचालन के तत्वों के साथ एक मैन्युअल प्रक्रिया है, जिसमें विश्लेषक, अपने ज्ञान और कौशल पर भरोसा करते हुए, समझौते के संकेतों की तलाश में बड़ी मात्रा में जानकारी की जांच करता है जो एक निश्चित खतरे की उपस्थिति के बारे में शुरू में निर्धारित परिकल्पना के अनुरूप है। इसकी विशिष्ट विशेषता सूचना स्रोतों की विविधता है।

यह ध्यान दिया जाना चाहिए कि थ्रेट हंटिंग किसी प्रकार का सॉफ़्टवेयर या हार्डवेयर उत्पाद नहीं है। ये ऐसे अलर्ट नहीं हैं जिन्हें किसी समाधान में देखा जा सके. यह IOC (समझौता पहचानकर्ता) खोज प्रक्रिया नहीं है। और यह किसी प्रकार की निष्क्रिय गतिविधि नहीं है जो सूचना सुरक्षा विश्लेषकों की भागीदारी के बिना होती है। ख़तरे का शिकार करना सबसे पहली और सबसे महत्वपूर्ण प्रक्रिया है।

ख़तरे की शिकार के घटक

थ्रेट हंटिंग के तीन मुख्य घटक: डेटा, प्रौद्योगिकी, लोग।

डेटा (क्या?), जिसमें बिग डेटा भी शामिल है। सभी प्रकार के ट्रैफ़िक प्रवाह, पिछले एपीटी के बारे में जानकारी, विश्लेषण, उपयोगकर्ता गतिविधि पर डेटा, नेटवर्क डेटा, कर्मचारियों से जानकारी, डार्कनेट पर जानकारी और भी बहुत कुछ।

प्रौद्योगिकियाँ (कैसे?) इस डेटा को संसाधित करना - मशीन लर्निंग सहित इस डेटा को संसाधित करने के सभी संभावित तरीके।

लोग हैं, जो?) - जिनके पास विभिन्न हमलों का विश्लेषण करने का व्यापक अनुभव है, उन्होंने अंतर्ज्ञान और हमले का पता लगाने की क्षमता विकसित की है। आमतौर पर ये सूचना सुरक्षा विश्लेषक होते हैं जिनके पास परिकल्पना उत्पन्न करने और उनके लिए पुष्टि खोजने की क्षमता होनी चाहिए। वे इस प्रक्रिया की मुख्य कड़ी हैं।

मॉडल पेरिस

एडम बेटमैन का वर्णन करता है आदर्श TH प्रक्रिया के लिए पेरिस मॉडल। यह नाम फ्रांस के एक प्रसिद्ध स्थल की ओर संकेत करता है। इस मॉडल को दो दिशाओं में देखा जा सकता है - ऊपर से और नीचे से।

जैसे-जैसे हम मॉडल के माध्यम से नीचे से ऊपर की ओर काम करते हैं, हमें दुर्भावनापूर्ण गतिविधि के बहुत सारे सबूत मिलेंगे। साक्ष्य के प्रत्येक टुकड़े में आत्मविश्वास नामक एक माप होता है - एक विशेषता जो इस साक्ष्य के वजन को दर्शाती है। दुर्भावनापूर्ण गतिविधि का प्रत्यक्ष प्रमाण "आयरन" है, जिसके अनुसार हम तुरंत पिरामिड के शीर्ष तक पहुंच सकते हैं और एक सटीक ज्ञात संक्रमण के बारे में वास्तविक चेतावनी बना सकते हैं। और अप्रत्यक्ष साक्ष्य भी हैं, जिनका योग हमें पिरामिड के शीर्ष तक भी ले जा सकता है। हमेशा की तरह, प्रत्यक्ष साक्ष्य की तुलना में अप्रत्यक्ष साक्ष्य बहुत अधिक हैं, जिसका अर्थ है कि उन्हें क्रमबद्ध और विश्लेषण करने की आवश्यकता है, अतिरिक्त शोध किया जाना चाहिए, और इसे स्वचालित करने की सलाह दी जाती है।

मॉडल पेरिस. स्रोत

मॉडल का ऊपरी भाग (1 और 2) स्वचालन प्रौद्योगिकियों और विभिन्न विश्लेषणों पर आधारित है, और निचला भाग (3 और 4) कुछ योग्यता वाले लोगों पर आधारित है जो प्रक्रिया का प्रबंधन करते हैं। आप मॉडल को ऊपर से नीचे की ओर ले जाने पर विचार कर सकते हैं, जहां नीले रंग के ऊपरी हिस्से में हमारे पास पारंपरिक सुरक्षा उपकरणों (एंटीवायरस, ईडीआर, फ़ायरवॉल, हस्ताक्षर) से उच्च स्तर के आत्मविश्वास और विश्वास के साथ अलर्ट हैं, और नीचे संकेतक हैं ( आईओसी, यूआरएल, एमडी5 और अन्य), जिनमें निश्चितता का स्तर कम है और अतिरिक्त अध्ययन की आवश्यकता है। और सबसे निचला और सबसे मोटा स्तर (4) परिकल्पनाओं का निर्माण है, सुरक्षा के पारंपरिक साधनों के संचालन के लिए नए परिदृश्यों का निर्माण। यह स्तर केवल परिकल्पनाओं के निर्दिष्ट स्रोतों तक ही सीमित नहीं है। स्तर जितना निचला होगा, विश्लेषक की योग्यता पर उतनी ही अधिक आवश्यकताएं लगाई जाएंगी।

यह बहुत महत्वपूर्ण है कि विश्लेषक केवल पूर्व निर्धारित परिकल्पनाओं के एक सीमित सेट का परीक्षण न करें, बल्कि उनके परीक्षण के लिए नई परिकल्पनाओं और विकल्पों को उत्पन्न करने के लिए लगातार काम करें।

TH उपयोग परिपक्वता मॉडल

एक आदर्श दुनिया में, TH एक सतत प्रक्रिया है। लेकिन, चूंकि कोई आदर्श दुनिया नहीं है, आइए विश्लेषण करें परिपक्वता मॉडल और उपयोग किए गए लोगों, प्रक्रियाओं और प्रौद्योगिकियों के संदर्भ में तरीके। आइए एक आदर्श गोलाकार TH के मॉडल पर विचार करें। इस तकनीक के उपयोग के 5 स्तर हैं। आइए विश्लेषकों की एक टीम के विकास के उदाहरण का उपयोग करके उन्हें देखें।

परिपक्वता के स्तर
लोग
Процессы
प्रौद्योगिकी

0 स्तर
एसओसी विश्लेषक
24/7
पारंपरिक वाद्ययंत्र:

परंपरागत
अलर्ट का सेट
निष्क्रिय निगरानी
आईडीएस, एवी, सैंडबॉक्सिंग,

बिना टी.एच
अलर्ट के साथ काम करना

हस्ताक्षर विश्लेषण उपकरण, खतरा खुफिया डेटा।

1 स्तर
एसओसी विश्लेषक
एक बार का TH
EDR

प्रयोगात्मक
फोरेंसिक का बुनियादी ज्ञान
आईओसी खोज
नेटवर्क उपकरणों से डेटा का आंशिक कवरेज

टीएच के साथ प्रयोग
नेटवर्क और एप्लिकेशन का अच्छा ज्ञान

आंशिक आवेदन

2 स्तर
अस्थायी कब्ज़ा
लघु-दौड़
EDR

सामयिक
फोरेंसिक का औसत ज्ञान
सप्ताह दर माह
पूर्ण आवेदन

अस्थायी TH
नेटवर्क और एप्लिकेशन का उत्कृष्ट ज्ञान
नियमित TH
ईडीआर डेटा उपयोग का पूर्ण स्वचालन

उन्नत ईडीआर क्षमताओं का आंशिक उपयोग

3 स्तर
समर्पित TH कमांड
24/7
परिकल्पनाओं का परीक्षण करने की आंशिक क्षमता TH

निवारक
फोरेंसिक और मैलवेयर का उत्कृष्ट ज्ञान
निवारक टी.एच
उन्नत ईडीआर क्षमताओं का पूर्ण उपयोग

विशेष मामले TH
आक्रमणकारी पक्ष का उत्कृष्ट ज्ञान
विशेष मामले TH
नेटवर्क उपकरणों से डेटा का पूर्ण कवरेज

आपकी आवश्यकताओं के अनुरूप कॉन्फ़िगरेशन

4 स्तर
समर्पित TH कमांड
24/7
TH परिकल्पनाओं का परीक्षण करने की पूर्ण क्षमता

उच्च अंत
फोरेंसिक और मैलवेयर का उत्कृष्ट ज्ञान
निवारक टी.एच
स्तर 3, प्लस:

टीएच का उपयोग करना
आक्रमणकारी पक्ष का उत्कृष्ट ज्ञान
परिकल्पनाओं का परीक्षण, स्वचालन और सत्यापन टीएच
डेटा स्रोतों का कड़ा एकीकरण;

अनुसंधान क्षमता

आवश्यकताओं के अनुसार विकास और एपीआई का गैर-मानक उपयोग।

लोगों, प्रक्रियाओं और प्रौद्योगिकियों द्वारा TH परिपक्वता स्तर

स्तर 0: पारंपरिक, टीएच का उपयोग किए बिना। नियमित विश्लेषक मानक उपकरणों और प्रौद्योगिकियों का उपयोग करके निष्क्रिय निगरानी मोड में अलर्ट के एक मानक सेट के साथ काम करते हैं: आईडीएस, एवी, सैंडबॉक्स, हस्ताक्षर विश्लेषण उपकरण।

स्तर 1: प्रयोगात्मक, TH का उपयोग करते हुए। फोरेंसिक के बुनियादी ज्ञान और नेटवर्क और अनुप्रयोगों के अच्छे ज्ञान वाले वही विश्लेषक समझौते के संकेतकों की खोज करके एक बार के खतरे का शिकार कर सकते हैं। ईडीआर को नेटवर्क उपकरणों से डेटा के आंशिक कवरेज के साथ टूल में जोड़ा जाता है। उपकरण आंशिक रूप से उपयोग किए जाते हैं।

स्तर 2: आवधिक, अस्थायी TH. वही विश्लेषक जिन्होंने पहले से ही फोरेंसिक, नेटवर्क और एप्लिकेशन भाग में अपने ज्ञान को उन्नत कर लिया है, उन्हें नियमित रूप से थ्रेट हंटिंग (स्प्रिंट) में शामिल होने की आवश्यकता होती है, उदाहरण के लिए, महीने में एक सप्ताह। उपकरण नेटवर्क उपकरणों से डेटा की पूर्ण खोज, ईडीआर से डेटा विश्लेषण का स्वचालन और उन्नत ईडीआर क्षमताओं का आंशिक उपयोग जोड़ते हैं।

स्तर 3: टीएच के निवारक, लगातार मामले। हमारे विश्लेषकों ने खुद को एक समर्पित टीम में संगठित किया और उन्हें फोरेंसिक और मैलवेयर का उत्कृष्ट ज्ञान होने लगा, साथ ही हमलावर पक्ष के तरीकों और रणनीति का भी ज्ञान होने लगा। यह प्रक्रिया पहले से ही 24/7 क्रियान्वित की जा चुकी है। टीम नेटवर्क उपकरणों से डेटा की पूर्ण कवरेज के साथ ईडीआर की उन्नत क्षमताओं का पूरी तरह से लाभ उठाते हुए टीएच परिकल्पनाओं का आंशिक रूप से परीक्षण करने में सक्षम है। विश्लेषक अपनी आवश्यकताओं के अनुरूप उपकरणों को कॉन्फ़िगर करने में भी सक्षम हैं।

स्तर 4: हाई-एंड, TH का उपयोग करें। उसी टीम ने अनुसंधान करने की क्षमता, टीएच परिकल्पनाओं के परीक्षण की प्रक्रिया को उत्पन्न करने और स्वचालित करने की क्षमता हासिल की। अब टूल को डेटा स्रोतों के घनिष्ठ एकीकरण, जरूरतों को पूरा करने के लिए सॉफ्टवेयर विकास और एपीआई के गैर-मानक उपयोग द्वारा पूरक किया गया है।

ख़तरे का शिकार करने की तकनीकें

बुनियादी खतरे का शिकार तकनीकें

К तकनीशियनों उपयोग की गई प्रौद्योगिकी की परिपक्वता के क्रम में TH हैं: बुनियादी खोज, सांख्यिकीय विश्लेषण, विज़ुअलाइज़ेशन तकनीक, सरल एकत्रीकरण, मशीन लर्निंग और बायेसियन विधियाँ।

सबसे सरल विधि, एक बुनियादी खोज, का उपयोग विशिष्ट प्रश्नों का उपयोग करके अनुसंधान के क्षेत्र को सीमित करने के लिए किया जाता है। उदाहरण के लिए, सांख्यिकीय विश्लेषण का उपयोग सांख्यिकीय मॉडल के रूप में विशिष्ट उपयोगकर्ता या नेटवर्क गतिविधि का निर्माण करने के लिए किया जाता है। विज़ुअलाइज़ेशन तकनीकों का उपयोग ग्राफ़ और चार्ट के रूप में डेटा के विश्लेषण को दृश्य रूप से प्रदर्शित करने और सरल बनाने के लिए किया जाता है, जिससे नमूने में पैटर्न को समझना बहुत आसान हो जाता है। खोज और विश्लेषण को अनुकूलित करने के लिए प्रमुख क्षेत्रों द्वारा सरल एकत्रीकरण की तकनीक का उपयोग किया जाता है। किसी संगठन की TH प्रक्रिया जितनी अधिक परिपक्व होती है, मशीन लर्निंग एल्गोरिदम का उपयोग उतना ही अधिक प्रासंगिक हो जाता है। इनका उपयोग स्पैम को फ़िल्टर करने, दुर्भावनापूर्ण ट्रैफ़िक का पता लगाने और धोखाधड़ी वाली गतिविधियों का पता लगाने में भी व्यापक रूप से किया जाता है। मशीन लर्निंग एल्गोरिदम का एक अधिक उन्नत प्रकार बायेसियन पद्धति है, जो वर्गीकरण, नमूना आकार में कमी और विषय मॉडलिंग की अनुमति देता है।

डायमंड मॉडल और टीएच रणनीतियाँ

सर्जियो कैल्टागिरोन, एंड्रयू पेंडेगास्ट और क्रिस्टोफर बेट्ज़ अपने काम में "घुसपैठ विश्लेषण का डायमंड मॉडल»किसी भी दुर्भावनापूर्ण गतिविधि के मुख्य प्रमुख घटकों और उनके बीच बुनियादी संबंध को दिखाया।

दुर्भावनापूर्ण गतिविधि के लिए डायमंड मॉडल

इस मॉडल के अनुसार, 4 थ्रेट हंटिंग रणनीतियाँ हैं, जो संबंधित प्रमुख घटकों पर आधारित हैं।

1. पीड़ित-उन्मुख रणनीति। हम मानते हैं कि पीड़ित के विरोधी हैं और वे ईमेल के माध्यम से "अवसर" प्रदान करेंगे। हम मेल में शत्रु डेटा की तलाश कर रहे हैं। लिंक, अनुलग्नक आदि खोजें. हम एक निश्चित अवधि (एक महीने, दो सप्ताह) के लिए इस परिकल्पना की पुष्टि की तलाश कर रहे हैं; अगर हमें यह नहीं मिलता है, तो परिकल्पना काम नहीं करती है।

2. अवसंरचना-उन्मुख रणनीति। इस रणनीति का उपयोग करने की कई विधियाँ हैं। पहुंच और दृश्यता के आधार पर, कुछ दूसरों की तुलना में आसान हैं। उदाहरण के लिए, हम दुर्भावनापूर्ण डोमेन होस्ट करने के लिए जाने जाने वाले डोमेन नाम सर्वर की निगरानी करते हैं। या हम किसी प्रतिद्वंद्वी द्वारा उपयोग किए गए ज्ञात पैटर्न के लिए सभी नए डोमेन नाम पंजीकरणों की निगरानी की प्रक्रिया से गुजरते हैं।

3. क्षमता-संचालित रणनीति। अधिकांश नेटवर्क रक्षकों द्वारा उपयोग की जाने वाली पीड़ित-केंद्रित रणनीति के अलावा, एक अवसर-केंद्रित रणनीति भी है। यह दूसरा सबसे लोकप्रिय है और प्रतिद्वंद्वी की क्षमताओं का पता लगाने पर केंद्रित है, अर्थात् "मैलवेयर" और प्रतिद्वंद्वी की वैध उपकरणों जैसे कि psexec, पॉवरशेल, सर्टिटिल और अन्य का उपयोग करने की क्षमता।

4. शत्रु उन्मुख रणनीति. शत्रु-केन्द्रित दृष्टिकोण स्वयं शत्रु पर केन्द्रित होता है। इसमें सार्वजनिक रूप से उपलब्ध स्रोतों (ओएसआईएनटी) से खुली जानकारी का उपयोग, दुश्मन, उसकी तकनीकों और तरीकों (टीटीपी) के बारे में डेटा का संग्रह, पिछली घटनाओं का विश्लेषण, खतरा खुफिया डेटा आदि शामिल है।

टीएच में सूचना और परिकल्पना के स्रोत

थ्रेट हंटिंग के लिए जानकारी के कुछ स्रोत

जानकारी के कई स्रोत हो सकते हैं. एक आदर्श विश्लेषक को आसपास मौजूद हर चीज़ से जानकारी निकालने में सक्षम होना चाहिए। लगभग किसी भी बुनियादी ढांचे में विशिष्ट स्रोत सुरक्षा उपकरणों से डेटा होंगे: डीएलपी, एसआईईएम, आईडीएस/आईपीएस, डब्ल्यूएएफ/एफडब्ल्यू, ईडीआर। इसके अलावा, सूचना के विशिष्ट स्रोत समझौते के विभिन्न संकेतक, ख़तरा ख़ुफ़िया सेवाएँ, CERT और OSINT डेटा होंगे। इसके अतिरिक्त, आप डार्कनेट से जानकारी का उपयोग कर सकते हैं (उदाहरण के लिए, अचानक किसी संगठन के प्रमुख के मेलबॉक्स को हैक करने का आदेश आता है, या नेटवर्क इंजीनियर के पद के लिए एक उम्मीदवार को उसकी गतिविधि के लिए उजागर किया गया है), से प्राप्त जानकारी एचआर (पिछले कार्यस्थल से उम्मीदवार की समीक्षा), सुरक्षा सेवा से जानकारी (उदाहरण के लिए, प्रतिपक्ष के सत्यापन के परिणाम)।

लेकिन सभी उपलब्ध स्रोतों का उपयोग करने से पहले कम से कम एक परिकल्पना का होना आवश्यक है।

स्रोत

परिकल्पनाओं का परीक्षण करने के लिए, पहले उन्हें सामने रखना होगा। और कई उच्च गुणवत्ता वाली परिकल्पनाओं को सामने रखने के लिए एक व्यवस्थित दृष्टिकोण लागू करना आवश्यक है। परिकल्पना उत्पन्न करने की प्रक्रिया को अधिक विस्तार से वर्णित किया गया है लेख, इस योजना को परिकल्पनाओं को आगे बढ़ाने की प्रक्रिया के आधार के रूप में लेना बहुत सुविधाजनक है।

परिकल्पनाओं का मुख्य स्रोत होगा ATT&CK मैट्रिक्स (प्रतिद्वंद्वी रणनीति, तकनीक और सामान्य ज्ञान)। संक्षेप में, यह उन हमलावरों के व्यवहार का आकलन करने के लिए एक ज्ञान का आधार और मॉडल है जो किसी हमले के अंतिम चरण में अपनी गतिविधियों को अंजाम देते हैं, जिसे आमतौर पर किल चेन की अवधारणा का उपयोग करके वर्णित किया जाता है। यानी, किसी हमलावर द्वारा किसी उद्यम के आंतरिक नेटवर्क या मोबाइल डिवाइस में प्रवेश करने के बाद के चरणों में। ज्ञान के आधार में मूल रूप से हमले में उपयोग की जाने वाली 121 युक्तियों और तकनीकों का विवरण शामिल था, जिनमें से प्रत्येक का विकी प्रारूप में विस्तार से वर्णन किया गया है। विभिन्न ख़तरा इंटेलिजेंस विश्लेषण परिकल्पना उत्पन्न करने के स्रोत के रूप में उपयुक्त हैं। बुनियादी ढांचे के विश्लेषण और पैठ परीक्षणों के परिणाम विशेष रूप से ध्यान देने योग्य हैं - यह सबसे मूल्यवान डेटा है जो हमें इस तथ्य के कारण मजबूत परिकल्पना दे सकता है कि वे अपनी विशिष्ट कमियों के साथ एक विशिष्ट बुनियादी ढांचे पर आधारित हैं।

परिकल्पना परीक्षण प्रक्रिया

सर्गेई सोल्तोव लाया अच्छा आरेख प्रक्रिया के विस्तृत विवरण के साथ, यह एकल प्रणाली में TH परिकल्पनाओं के परीक्षण की प्रक्रिया को दर्शाता है। मैं संक्षिप्त विवरण के साथ मुख्य चरणों का संकेत दूँगा।

स्रोत

चरण 1: टीआई फार्म

इस स्तर पर प्रकाश डालना आवश्यक है वस्तुओं (सभी खतरे के डेटा के साथ उनका विश्लेषण करके) और उनकी विशेषताओं के लिए उन्हें लेबल निर्दिष्ट करना। ये फ़ाइल, यूआरएल, एमडी5, प्रक्रिया, उपयोगिता, घटना हैं। इन्हें थ्रेट इंटेलिजेंस सिस्टम से गुजरते समय टैग लगाना जरूरी है। यानी, यह साइट अमुक वर्ष में CNC में देखी गई थी, यह MD5 अमुक मैलवेयर से संबद्ध था, यह MD5 मैलवेयर वितरित करने वाली साइट से डाउनलोड किया गया था।

चरण 2: मामले

दूसरे चरण में, हम इन वस्तुओं के बीच परस्पर क्रिया को देखते हैं और इन सभी वस्तुओं के बीच संबंधों की पहचान करते हैं। हमें चिह्नित प्रणालियाँ मिलती हैं जो कुछ बुरा करती हैं।

चरण 3: विश्लेषक

तीसरे चरण में, मामला एक अनुभवी विश्लेषक को स्थानांतरित कर दिया जाता है जिसके पास विश्लेषण में व्यापक अनुभव होता है, और वह फैसला देता है। वह बाइट्स को पार्स करता है कि यह कोड क्या, कहाँ, कैसे, क्यों और क्यों करता है। यह बॉडी मैलवेयर थी, यह कंप्यूटर संक्रमित था। वस्तुओं के बीच संबंध प्रकट करता है, सैंडबॉक्स के माध्यम से चलने के परिणामों की जांच करता है।

विश्लेषक के कार्य के परिणाम आगे प्रसारित किये जाते हैं। डिजिटल फोरेंसिक छवियों की जांच करता है, मैलवेयर विश्लेषण पाए गए "निकायों" की जांच करता है, और घटना प्रतिक्रिया टीम साइट पर जा सकती है और वहां पहले से मौजूद किसी चीज की जांच कर सकती है। कार्य का परिणाम एक पुष्ट परिकल्पना, एक पहचाना गया हमला और उसका मुकाबला करने के तरीके होंगे।

स्रोत
 

परिणाम

थ्रेट हंटिंग एक काफी युवा तकनीक है जो अनुकूलित, नए और गैर-मानक खतरों का प्रभावी ढंग से मुकाबला कर सकती है, जिसमें ऐसे खतरों की बढ़ती संख्या और कॉर्पोरेट बुनियादी ढांचे की बढ़ती जटिलता को देखते हुए काफी संभावनाएं हैं। इसके लिए तीन घटकों की आवश्यकता होती है - डेटा, उपकरण और विश्लेषक। थ्रेट हंटिंग के लाभ खतरों के क्रियान्वयन को रोकने तक ही सीमित नहीं हैं। यह मत भूलिए कि खोज प्रक्रिया के दौरान हम एक सुरक्षा विश्लेषक की नजर से अपने बुनियादी ढांचे और उसके कमजोर बिंदुओं में गोता लगाते हैं और इन बिंदुओं को और मजबूत कर सकते हैं।

हमारी राय में, आपके संगठन में TH प्रक्रिया शुरू करने के लिए पहला कदम उठाने की आवश्यकता है।

1. एंडपॉइंट और नेटवर्क इंफ्रास्ट्रक्चर की सुरक्षा का ख्याल रखें। अपने नेटवर्क पर सभी प्रक्रियाओं की दृश्यता (नेटफ्लो) और नियंत्रण (फ़ायरवॉल, आईडीएस, आईपीएस, डीएलपी) का ध्यान रखें। अपने नेटवर्क को एज राउटर से लेकर अंतिम होस्ट तक जानें।
2. अन्वेषण करना MITER ATT और CK.
3. कम से कम प्रमुख बाहरी संसाधनों का नियमित परीक्षण करें, इसके परिणामों का विश्लेषण करें, हमले के लिए मुख्य लक्ष्यों की पहचान करें और उनकी कमजोरियों को बंद करें।
4. एक ओपन सोर्स थ्रेट इंटेलिजेंस सिस्टम लागू करें (उदाहरण के लिए, एमआईएसपी, यति) और इसके साथ मिलकर लॉग का विश्लेषण करें।
5. एक घटना प्रतिक्रिया मंच (आईआरपी) लागू करें: आर-विज़न आईआरपी, द हाइव, संदिग्ध फ़ाइलों का विश्लेषण करने के लिए सैंडबॉक्स (फोर्टिसैंडबॉक्स, कुक्कू)।
6. नियमित प्रक्रियाओं को स्वचालित करें. लॉग का विश्लेषण, घटनाओं की रिकॉर्डिंग, कर्मचारियों को सूचित करना स्वचालन के लिए एक बड़ा क्षेत्र है।
7. घटनाओं पर सहयोग करने के लिए इंजीनियरों, डेवलपर्स और तकनीकी सहायता के साथ प्रभावी ढंग से बातचीत करना सीखें।
8. बाद में वापस लौटने या सहकर्मियों के साथ इस डेटा को साझा करने के लिए पूरी प्रक्रिया, मुख्य बिंदुओं, प्राप्त परिणामों का दस्तावेजीकरण करें;
9. सामाजिक बनें: इस बात से अवगत रहें कि आपके कर्मचारियों के साथ क्या हो रहा है, आप किसे काम पर रखते हैं और आप किसे संगठन के सूचना संसाधनों तक पहुंच देते हैं।
10. नए खतरों और सुरक्षा के तरीकों के क्षेत्र में रुझानों से अवगत रहें, अपने तकनीकी साक्षरता के स्तर को बढ़ाएं (आईटी सेवाओं और उप-प्रणालियों के संचालन सहित), सम्मेलनों में भाग लें और सहकर्मियों के साथ संवाद करें।

टिप्पणियों में TH प्रक्रिया के संगठन पर चर्चा करने के लिए तैयार हूं।

या हमारे साथ काम करने आएँ!

• प्रमुख सूचना सुरक्षा सलाहकार
• सूचना सुरक्षा के लिए सिस्टम आर्किटेक्ट
• लीड नेटवर्क सुरक्षा इंजीनियर
• लीड सूचना सुरक्षा इंजीनियर (एसआईईएम)
• सूचना सुरक्षा वास्तुकार (आवेदन)

अध्ययन के लिए स्रोत और सामग्री

• Threathunter.guru
• आक्रमण.mitre.org
• डिजिटल-forensics.sans.org
• resources.infosecinstitute.com
• www.redcanary.com
• www.cybereason.com
• www.anti-malware.ru
• www.anti-malware.ru
• उत्तर-to-all.blogspot.com
• lukatsky.blogspot.com
• Whitepapers.theregister.co.uk

स्रोत: www.habr.com